12Multiple Entry Point(MEP) VPNMultiple Entry Point(MEP) VPN

MEP 와 Clustering(ClusterXL)은 둘 다 고가용성과 부하 분산을 이루는 방법이지만, 동작 원리가 크게 다릅니다. 차이를 하나씩 짚어 봅니다.

정리하면, 같은 사이트의 하드웨어 이중화는 Cluster, 지리적으로 분산된 진입점 이중화는 MEP 가 어울립니다.

MEP는 Check Point Security Gateway에는 RDP 로, 3rd party 게이트웨이나 클라우드 벤더에는 DPD 로 구현됩니다.

피어는 MEP에 속한 모든 Security Gateway를 끊임없이 프로브(probe)·폴링(poll) 하여 어떤 게이트웨이가 "up" 상태인지 알아내고, 구성된 선택 방식(selection mechanism) 에 따라 게이트웨이를 고릅니다. RDP/DPD 패킷이 계속 오가므로 모든 게이트웨이의 상태가 항상 파악되고, 변화가 생기면 즉시 갱신됩니다. 그 결과 "up" 상태인 모든 게이트웨이를 늘 알고 있게 됩니다.

MEP를 구현하는 방법은 두 가지입니다.

Star 타입의 Site to Site VPN 커뮤니티에서 Explicit MEP는 VPN Community 오브젝트 에 구성합니다. MEP를 켜면 새틀라이트(satellite)들은 모든 Security Gateway의 VPN 도메인을 "통합(unified)"된 하나의 VPN 도메인 으로 간주합니다. 이 통합 VPN 도메인이 각 Security Gateway의 VPN 도메인 으로 취급됩니다.

그림에서 Star VPN Community에는 MEP가 켜진 두 개의 중앙 게이트웨이 M1, M2 와 세 개의 새틀라이트 게이트웨이 S1, S2, S3 가 있습니다. S2가 (M1·M2 뒤에 있는) Host-1 과 연결을 열면, 세션은 M1 또는 M2 중 하나를 통해 시작됩니다. MEP 게이트웨이들 사이의 우선순위는 MEP 진입점 선택 방식 으로 정해집니다.

만약 M2가 선택된 진입점이었는데 사용 불가 상태가 되면, Host-1로의 연결은 M1으로 페일오버 됩니다. 반환 패킷은 RIM 또는 IP Pool NAT로 재라우팅 됩니다(반환 패킷은 아래 "반환 패킷 라우팅" 절 참고).

진입점으로 어느 게이트웨이를 쓸지 고르는 방법은 네 가지입니다.

MEP 선택 방식 4가지

"First to Respond" 방식 들여다보기

primary 게이트웨이가 없을 때 모든 게이트웨이는 "동등한 우선순위(equal priority)" 를 공유합니다.

모든 게이트웨이가 동등한 우선순위일 때 동작은 이렇습니다.

"By VPN Domain" 방식 들여다보기

MEP를 켜기 전에는 각 IP 주소가 특정 VPN 도메인에 속합니다. By VPN Domain 에서는 그 도메인의 게이트웨이가 진입점 이 됩니다.

아래 예시에서 VPN Star 커뮤니티에는 각자 자기 VPN 도메인을 가진 두 중앙 MEP 게이트웨이 M1, M2 와 원격 새틀라이트 S1 이 있습니다. (S1의 VPN 도메인에 있는) Host-2 가 Host-1 과 연결을 시작합니다. 이 연결은 M1 또는 M2 어느 쪽으로도 갈 수 있지만, Host-1은 M2의 원래 VPN 도메인 안 에 있습니다. 그래서 M2가 목적지 IP에 "가장 가까운" 게이트웨이로 간주되어 Host-1의 primary 게이트웨이 가 되고, M1은 백업이 됩니다. 중앙에 게이트웨이가 더 있었다면 그것들도 M2의 백업으로 간주됩니다.

만약 VPN 도메인이 완전히 또는 부분적으로 겹친다 면, "가장 가까운" 진입점으로 둘 이상의 게이트웨이가 선택될 수 있어 primary가 둘 이상 생길 수 있습니다. primary나 백업이 여럿일 때는 추가 선택 방식 으로 게이트웨이를 고릅니다. 이 고급 선택 방식은 다음 둘 중 하나입니다(아래 "Advanced 설정" 참고).

반환 패킷에는 중앙 게이트웨이에서 RIM 을 쓸 수 있습니다. RIM도 켠다면 전용선(leased line)의 metric을 VPN 터널보다 낮은 우선순위 값 으로 설정하세요. 새틀라이트 S1은 MEP 게이트웨이들과 동시에 둘 이상의 VPN 터널 을 열 수 있습니다. 예를 들어 Host-1의 진입점으로 M2를, Host-3의 진입점으로 M1을 동시에 쓰는 식입니다. M1과 M2가 모두 Host-1·Host-3로 가는 경로를 알려도, 우선순위가 낮은 metric 덕분에 전용선은 게이트웨이가 하나 죽었을 때만 쓰입니다.

"Random Selection" 방식 들여다보기

이 방식에서는 들어오는 트래픽마다 다른 게이트웨이가 무작위로 진입점 으로 선택됩니다. 들어오는 트래픽을 가용한 모든 게이트웨이에 고르게 나눠, 한 게이트웨이에 트래픽이 몰리는 것을 막 습니다.

다른 모든 MEP 구성과 마찬가지로 게이트웨이들을 RDP/DPD 패킷으로 프로빙해 응답하는 게이트웨이 목록 을 만들고, 그 목록에서 무작위로 하나 를 고릅니다. 어떤 게이트웨이가 응답을 멈추면 다른 게이트웨이를 (무작위로) 다시 고릅니다.

출발지/목적지 IP 쌍마다 새 게이트웨이가 무작위 로 선택되며, 출발지·목적지 IP가 같은 동안에는 선택된 게이트웨이를 통해 연결이 이어집니다.

"Manually Set Priority List" 방식 들여다보기

Star VPN 커뮤니티의 중앙 게이트웨이 중 어느 것을 핵심망 진입점으로 쓸지를, 출발지 게이트웨이별로 우선순위를 수동 지정 해 제어할 수 있습니다. 각 우선순위는 하나의 MEP Rule(MEP 규칙) 이 됩니다.

아래 그림에서 세 MEP 멤버(M1, M2, M3)가 세 새틀라이트(S1, S2, S3)에 진입점을 제공합니다. S1은 M1 → M2 → M3 순서 로 시도하도록(M1이 최고, M3가 최저 우선순위) 설정할 수 있고, S2는 M2 → M3 순서 로(M1은 시도하지 않음) 설정할 수 있습니다.

이런 우선순위 하나하나가 MEP manual priority list 창에서 MEP 규칙이 됩니다.

MEP manual priority list 창은 기본 규칙(default rule) 과, 기본 규칙의 예외를 주는 규칙들 로 나뉩니다. 기본 MEP 규칙 은 다음 경우에 적용됩니다.

Exception priority rules 영역은 primary, secondary, tertiary 세 우선순위 레벨을 가집니다. 레벨은 셋뿐이지만 다음과 같은 유연성이 있습니다.

예를 들어 두 번째 MEP 규칙에서는 중앙 게이트웨이 M3와 M1에 동등한 우선순위를 주고, 같은 규칙을 새틀라이트 S2와 S3에 적용할 수 있습니다. 둘 이상의 게이트웨이에 같은 우선순위 레벨이 부여 되면, 어느 게이트웨이를 고를지는 Advanced 설정 으로 정해집니다.

Advanced 설정

중앙에 우선순위가 뚜렷하지 않은 게이트웨이가 여럿 있을 때가 있습니다. 예컨대 위 두 번째 MEP 규칙처럼 둘 이상의 게이트웨이에 "second" 우선순위가 부여된 경우입니다. 이때 Advanced 옵션으로 어느 게이트웨이를 고를지 정합니다. First to Respond 또는 Random Selection 중 하나이며, 게이트웨이 간 부하 분산을 켜려면 Random Selection 을 고릅니다.

manually set priority list 가 MEP 선택 방식일 때는 RIM이 지원 됩니다. Advanced 버튼의 "random selection"이 MEP의 일반 "random selection"과 다르기 때문입니다.

MEP에서의 추적(Tracking)

MEP에 Tracking 옵션을 켜면, 각 새틀라이트 게이트웨이가 다음 정보를 로그에 남깁니다.

예를 들어 "Manually Set Priority List" 시나리오에서 새틀라이트 S1이 M1·M2·M3를 포함하는 VPN 도메인으로 연결을 열고 M1이 해석된 피어라면, 추적이 켜져 있을 때 로그는 이렇게 기록됩니다.

Resolved peer for tunnel from S1 to the MEP that contains M1, M2,
and M3, is: M1 (Primary Security Gateway, responding).

Implicit MEP를 구현하는 방법은 다음과 같습니다.

Implicit MEP는 암호화 도메인이 겹치는 게이트웨이들이 같은 커뮤니티에 있을 때 지원됩니다. 서로 다른 커뮤니티에 있으면 그 암호화 도메인에는 게이트웨이 중 하나만 쓰입니다.

"Implicit First to Respond" 방식 들여다보기

primary 게이트웨이가 없을 때 모든 게이트웨이는 동등한 우선순위 를 공유합니다. 이때 동작은 이렇습니다.

Star VPN 커뮤니티에서 RDP/DPD 패킷이 보내지고 first to respond가 라우팅에 쓰이는 것은 다음 조건을 모두 만족할 때뿐입니다.

이 설정은 Community Properties > VPN Advanced > VPN Routing 페이지에 있습니다.

예시 시나리오는 다음과 같습니다.

"Implicit Primary-Backup" 방식 들여다보기

백업 게이트웨이는 primary 게이트웨이에 이중화를 제공합니다. 첫 번째 게이트웨이를 primary 로, 두 번째를 backup 으로 구성합니다. 어떤 이유로든 primary가 죽으면 원격 VPN 피어가 링크가 끊긴 것을 감지하고 백업을 통해 동작 합니다. 백업 게이트웨이는 primary의 VPN 도메인 전체를 그대로 물려받 습니다. 단, 기존 연결 내의 페일오버는 지원되지 않으며 현재 연결은 끊깁니다.

primary가 복구되면 새 연결은 primary 로 가고, 이미 존재하던 연결은 백업을 통해 계속 동작합니다.

"Implicit Load Distribution" 방식 들여다보기

어느 한 게이트웨이에 연결이 몰리지 않도록, 연결을 모든 게이트웨이에 고르게 나눠 부하를 분산 할 수 있습니다. 모든 게이트웨이가 동등한 우선순위(primary 없음)이고 같은 VPN 도메인에 MEP 일 때 부하 분산을 켤 수 있습니다.

다른 MEP 구성과 마찬가지로 RDP/DPD 패킷으로 게이트웨이들을 프로빙해 응답 목록 을 만들고, 그 목록에서 무작위로 하나 를 고릅니다. 응답을 멈추면 새 게이트웨이를 (무작위로) 다시 고릅니다. 출발지/목적지 IP 쌍마다 새 게이트웨이가 무작위 로 선택되며, 출발지·목적지가 같은 동안에는 선택된 게이트웨이로 연결이 이어집니다.

반환 패킷이 올바로 라우팅되게 하려면, MEP Security Gateway는 다음 둘 중 하나를 쓸 수 있습니다.

IP Pool NAT

IP Pool NAT 는 원격 VPN 도메인의 출발지 IP를, 등록된 IP 풀에서 뽑은 주소로 매핑 하는 NAT의 한 종류입니다. MEP 게이트웨이와 대칭(symmetric) 세션을 유지하기 위해, MEP 게이트웨이는 그 게이트웨이 전용 IP 주소 범위로 NAT 를 수행하며, 이 범위는 내부망에서 원래의 게이트웨이로 라우팅 되도록 설정해야 합니다. 반환 패킷이 게이트웨이에 도착하면, 게이트웨이는 원래 출발지 IP를 복원해 출발지로 전달 합니다.

Route Injection Mechanism(RIM)

RIM 은 게이트웨이가 동적 라우팅 프로토콜(dynamic routing protocol)을 써서, VPN 피어 게이트웨이의 암호화 도메인을 내부망에 전파 하게 해 줍니다. VPN 터널이 생성되면 RIM은 게이트웨이의 로컬 라우팅 테이블에 VPN 피어의 암호화 도메인을 추가 합니다.

MEP 게이트웨이로 가는 터널이 끊기면, 게이트웨이는 해당 "반환 경로(return route)"를 자기 로컬 라우팅 테이블에서 제거 하고, 이 변경은 게이트웨이 뒤의 라우터들로 역방향으로 배포 됩니다.

RIM은 게이트웨이가 로컬 라우팅 테이블을 갱신하는 능력 과 변경을 네트워크에 배포할 동적 라우팅 프로토콜의 존재 두 가지에 기반합니다. 동적 라우팅 프로토콜이 없다면 RIM을 켜는 의미가 거의 없습니다.

MEP가 켜진 상태에서 RIM은 커뮤니티 전체에 permanent tunnel이 켜져 있을 때만 켤 수 있습니다. MEP 구성에서 RIM은 First to Respond, Manual set priority list, VPN Domain 방식에서 사용 가능합니다.

MEP를 구성하려면 먼저 두 가지를 정합니다.

Explicit MEP 구성

Explicit MEP는 중앙 게이트웨이가 여럿 정의된 Star 타입의 Site to Site VPN 커뮤니티 에서만 사용할 수 있습니다.

Implicit MEP 구성 — "Implicit Primary-Backup" 방식

primary 게이트웨이를 포함하는 VPN 도메인과, 백업 게이트웨이만 포함하는 또 다른 VPN 도메인을 구성합니다. 각 게이트웨이를 primary 또는 backup으로 설정합니다.

Implicit MEP 구성 — "Implicit Load Distribution" 방식

SmartConsole에서 무작위 게이트웨이 선택을 위한 Implicit MEP를 구성하는 절차입니다.

IP Pool NAT 구성

SmartConsole에서 Site to Site VPN용 IP Pool NAT를 구성하는 절차입니다.